Autore: Lorenzo Gamba – Imageware Srl – 20/06/2023
Trend Micro, leader globale di cybersecurity, presenta la piattaforma di cybersecurity di ultima generazione e stabilisce un nuovo standard per rafforzare la postura di sicurezza e la difesa dalle minacce. La nuova versione della piattaforma Trend Vision One™ rappresenta un significativo passo in avanti nella cybersecurity delle aziende e comprende una solida gestione del rischio della superficie di attacco, una protezione multilivello in ambienti ibridi e XDR di nuova generazione, amplificata dalla potente tecnologia di intelligenza artificiale generativa.
Le funzionalità avanzate di rilevamento e risposta estesi (XDR) della piattaforma, includono il più ampio set di sensori di sicurezza nativi, per offrire la protezione dalle minacce più completa e cross-domain. La piattaforma porta sul mercato l’XDR di prossima generazione, grazie al consolidamento dei dati che provengono da fonti interne e da terze parti e attraverso analisi avanzate di IA, machine learning e modelli di rilevamento correlati.
Con una visibilità e insight sugli eventi senza pari, le aziende hanno a disposizione una difesa più proattiva, un rilevamento tempestivo e una risposta agli incidenti più rapida.
Consolidando i dati da fonti interne e di terze parti e utilizzando l’intelligenza artificiale avanzata, report di machine learning e i modelli di rilevamento correlati, la piattaforma porta sul mercato la nuova generazione di XDR e protegge da tutte le tecniche e tattiche dei cybercriminali, tra cui estorsioni, attacchi DDoS, ransomware e altro ancora.
Una piattaforma potenziata dall’intelligenza artificiale generativa
Trend introduce nella piattaforma le capacità di intelligenza artificiale generativa trasformativa, attraverso l’implementazione di Companion, un assistente per la sicurezza informatica basato sull’intelligenza artificiale. Companion supporta gli addetti di cybersecurity indipendentemente dal livello di competenza ed è in grado di amplificare le operazioni di sicurezza, aumentare la produttività e l’efficienza e accelerare il rilevamento delle minacce, la risposta e la gestione del rischio informatico. Questo è l’inizio di una futura implementazione continua di funzionalità di IA e LLM, integrate in Trend Vision One.
Le capacità generative di IA e LLM di Trend danno priorità alla sicurezza e alla compliance in linea con le normative. Misure rigorose garantiscono la visibilità su come ciascun modello gestisce i dati aziendali. Inoltre, vengono implementati controlli e meccanismi di isolamento aggiuntivi per impedire la combinazione di Trend LLM con istanze e dati di altri fornitori.
Gestione proattiva dei rischi della superficie di attacco (Attack Surface Risk Management – ASRM), basata sui principi Zero Trust
Trend Vision One consente alle organizzazioni di creare programmi cyber resilienti e gestire in modo proattivo il rischio, contrastando potenziali eventi e violazioni con una gestione del rischio della superficie di attacco all’avanguardia. Sfruttando la scoperta continua della superficie di attacco e la valutazione del rischio in tempo reale, le aziende possono identificare e correggere rapidamente i rischi critici, comprese le vulnerabilità e l’esposizione, in base alla probabilità e all’impatto dell’attacco.
Grazie alla continua scoperta di asset interni e connessi a Internet, alla visibilità e alla valutazione in tempo reale, Trend Vision One accelera il viaggio verso un’architettura zero trust basata sul concetto “mai fidarsi, verificare sempre”. Questo è un framework di sicurezza molto desiderato ma difficile da implementare.
Per la prima volta, le organizzazioni sono in grado di gestire controlli di sicurezza granulari, applicazione delle policy e punti decisionali sulle policy da un’unica piattaforma per monitorare, gestire ed eseguire automaticamente controlli di sicurezza dinamici basati sui dati degli insight ASRM e sulla gestione integrata del sistema XDR, per ridurre la complessità e orchestrare l’accesso con privilegi minimi, con uno sforzo manuale irrilevante.
Attraverso un percorso chiaro verso l’operatività zero trust, le organizzazioni possono ridurre al minimo la superficie di attacco in modo più efficace, rallentare gli aggressori e proteggersi da minacce interne dannose e non, garantendo la conformità e la protezione dei dati.
Durante l’anno della pandemia di Covid-19 il concetto di email security ha assunto un ruolo di primo piano: le nostre modalità di comunicazione sono cambiate (basti pensare al lavoro da remoto), i contenuti delle comunicazioni hanno visto ondate di argomenti quasi esclusivamente legati all’evento pandemico (soprattutto in concomitanza con i principali provvedimenti restrittivi), gli aspetti legati alla sicurezza, alla privacy, agli attacchi di phishing e alla distribuzione di malware sono stati pesantemente condizionati dalla pandemia.
Se vogliamo, l’evento pandemico ha ancora più messo in evidenza la rilevanza del fattore umano nella sicurezza delle comunicazioni elettroniche.
Email security: il fenomeno phishing durante la pandemia
Ricordiamo che una campagna di phishing efficace è caratterizzata da tre elementi principali: il presentarsi come una fonte autorevole, la capacità di catturare l’attenzione della vittima, quella di instillare un senso di urgenza al fine di indurre a compiere un’azione dannosa come aprire un allegato malevolo, cliccare su un link, fornire credenziali o informazioni confidenziali.
Autorevolezza, cattura dell’attenzione, senso di urgenza, call-to-action: se ci facciamo caso, parliamo esclusivamente di leve che agiscono su aspetti affatto tecnici ma legati ai comportamenti umani.
Non è difficile immaginare come un evento eccezionale quale la pandemia con tutto il suo carico emotivo, il flusso continuo di nuove informazioni, il susseguirsi di provvedimenti normativi, i cambiamenti delle modalità di lavoro e delle abitudini di vita, abbia creato un terreno molto fertile per gli autori di campagne di phishing.
Il seguente grafico mostra l’andamento nel 2020 delle mail legittime legate alla pandemia di COVID-19.
Andamento delle mail legittime a tema COVID-19
A inizio anno abbiamo una progressiva crescita di comunicazioni che perdura circa un mese e mezzo e che inizia a decrescere solo dopo il primo lockdown. Segue un grande picco successivo ai primi allentamenti del lockdown.
In questo periodo si susseguono incessantemente provvedimenti normativi e disposizioni organizzative. È del 13 maggio la “legge rilancio” mentre il 15 maggio un decreto delinea il quadro generale all’interno del quale gli spostamenti verranno limitati da ordinanze statali, regionali e comunali.
Seguono innumerevoli ordinanze, interpretazioni e chiarimenti oltre a decreti che progressivamente vanno ad autorizzare la ripresa di ulteriori attività. A tutto questo si affiancano informazioni e aggiornamenti sull’andamento della pandemia, sullo stato del sistema sanitario, sugli studi clinici che contribuiscono ad una crescente conoscenza del fenomeno.
Indicativamente, in questo periodo il 10% delle nostre mailbox conteneva mail a tema COVID-19. Ricordo che stiamo ancora parlando di comunicazioni legittime, ovvero non malevole, che esplicitamente menzionano la pandemia. È un indice dell’attenzione che il tema ha avuto nel corso del tempo.
Quello che segue è invece l’andamento delle mail indesiderate a tema COVID-19 che sono state intercettate dai sistemi di filtraggio della posta elettronica. Oltre a mail di spam vero e proprio relative a prodotti e servizi (mascherine, gel, termoscanner, guanti, test antigenici, tamponi, improbabili prodotti anti-Covid, servizi finanziari per fronteggiare l’emergenza, eccetera) questo flusso contiene anche mail di phishing e distribuzione di malware che sfruttano l’alto livello di attenzione legato alla pandemia.
Andamento delle mail indesiderate a tema COVID-19
L’andamento delle mail indesiderate è più regolare: nel mese di marzo c’è stata una rapida crescita che poi si è più o meno stabilizzata. Da agosto in poi c’è stata una progressiva lenta decrescita. Questo grafico ci dice che il tema è stato rapidamente adottato da chi intendeva abusarne ed è stato progressivamente abbandonato solo quando ha iniziato a perdere di efficacia.
Email security: le tattiche usate negli attacchi phishing
Quali tattiche sono state utilizzate nelle mail di phishing? Tra le più aggressive abbiamo notato campagne massive di finte mail di licenziamento. La mail, che si spaccia per una comunicazione proveniente dal dipartimento risorse umane, comunica al malcapitato il suo licenziamento in tronco giustificato dall’emergenza COVID. L’esempio che segue, nonostante sia scritto in inglese, è stato inviato a numerosi dipendenti italiani di aziende multinazionali.
Campagna di phishing, finto licenziamento causa COVID
L’allegato di queste mail è un file html che punta a carpire le credenziali dell’utente.
Allegato malevolo per carpire credenziali
Naturalmente anche i tentativi di truffa massivi e di bassa qualità sono stati prontamente declinati a tema COVID. Vincite improvvise, donatori inattesi e le classiche truffe “alla nigeriana” hanno adottato le parole chiave legate alla pandemia nel tentativo di guadagnare maggiore visibilità e credibilità.
Truffa a tema COVID
Numerose e più subdole le mail che, spacciandosi per organismi istituzionali, come ad esempio l’Organizzazione Mondiale della Sanità, avvisavano di presunti allarmi per la presenza di cluster di contagio nell’area.
Campagna di phishing che si spaccia per OMS
Altrettanto diffuse le campagne di phishing legate alla ripresa delle attività produttive con finte email del MEF o di altri organismi istituzionali veicolanti malware.
Campagna di phishing che si spaccia per il MEF
L’utilizzo di nomi e loghi istituzionali conferisce una percezione di autorevolezza che abbassa le difese, in particolare in un momento in cui la paura e l’emotività sono ancora alte.
Con l’arrivo dell’app Immuni le campagne di phishing hanno incominciato a sfruttare questo nuovo filone. La seguente immagine è tratta da un sito di phishing che riproduce una finta pagina del Play Store di Google:
Finta app Immuni su un finto Google Play Store
L’anno si è chiuso con l’arrivo del cashback e non potevano mancare campagne di phishing a tema cashback o SPID.
Phishing sul cashback di Stato
Finto sito di Poste Italiane
Anche nelle campagne di email malevole vige una sorta di meccanismo di selezione naturale. Le tecniche che si dimostrano più efficaci vengono copiate si diffondono rapidamente a discapito di quelle meno efficaci.
La rapida diffusione delle campagne di phishing a tema COVID-19, in tutte le sue declinazioni, ci ha fornito una misura di quanto sia rilevante il ruolo della componente emotiva e di quanto, a parità di condizioni tecniche, sia il fattore umano a fare la differenza.
L’andamento nel corso dell’anno
Il seguente grafico mostra la percentuale di email intercettate dai sistemi di email security sul totale del traffico. Da settembre in avanti la media cala ma si tratta di oscillazioni frequenti e dipendenti da una tale quantità di variabili da non rappresentare in sé un trend particolarmente significativo.
Andamento dello spam nel 2020
Malware allegato a messaggi di posta
Già lo scorso anno avevamo rilevato la progressiva perdita di efficacia di sistemi di protezione reattivi, ovvero progettati per intercettare minacce note. Questo approccio (tendenzialmente basato su ricerca di pattern noti) è particolarmente inefficace in presenza di malware polimorfico e nuove varianti, le quali si trovano di fronte a finestre di opportunità di molte ore all’interno delle quali possono transitare senza essere intercettate.
L’approccio proattivo basato sulla rimozione delle istruzioni che abilitano alla realizzazione di un dropper (il codice che installa il malware sul computer della vittima) è l’unico che offre una copertura anche contro nuove varianti e malware polimorfico.
Il seguente grafico mostra l’andamento nel corso dell’anno dei sistemi di sandboxing di nuova generazione da noi monitorati. In rosso i file che sono stati bloccati perché riconosciuti come malevoli. In giallo i file che sono stati neutralizzati grazie all’approccio poc’anzi descritto e che non sono stati intercettati dai sistemi reattivi basati su pattern e signature. In verde i file contenenti codice attivo legittimo (come le macro legittime di un file Excel).
Allegati trattati da QuickSand
Nel corso dell’anno abbiamo osservato l’utilizzo di nuove tecniche di realizzazione di dropper.
In gennaio ha iniziato a circolare del malware basato su macro in documenti Office che, al fine di eseguire codice senza essere rilevato come malevolo, usava alcune callback VBA (Visual Basic for Applications) che vengono invocate prima di attivare una connessione. Il trucco consiste nell’inserire del contenuto remoto nel documento al fine di indurre Office ad invocare queste macro (il cui nome termina per _onConnecting). Attraverso queste callback è possibile eseguire codice senza invocarlo apertamente, consentendo di svicolare attraverso alcuni sistemi di protezione.
In maggio abbiamo visto un utilizzo smodato (come sempre, una tecnica efficace viene rapidamente copiata da altri attori) delle macro-formule di Office. Si tratta di una vecchissima funzionalità che precede l’introduzione del VBA e di cui quasi nessuno si ricordava più. Un po’ come era successo un paio di anni prima con il DDE.
In termini di nuove modalità di attacco degne di menzione, questo è tutto. Si conferma la tendenza prevalente ad affinare le tecniche di attacco e ad aggirare i sistemi di protezione ricorrendo al polimorfismo e ad un grande numero di nuove varianti.
Attacchi attraverso link
È più facile riuscire a consegnare una mail con un link piuttosto che una mail con allegato un malware, questo è il motivo per cui molti attacchi vengono condotti in questo modo.
I link spesso puntano a siti legittimi che sono stati appena compromessi e che quindi hanno una buona reputazione.
Qual è la percentuale di email che contiene almeno un link? Questo grafico mostra questo valore nel corso del 2020.
Percentuale di email contenenti almeno un link
Naturalmente tutte le mail che contengono un link ad un sito noto come pericoloso vengono intercettate e bloccate ma, come detto prima, in molti casi si tratta di un link ad un sito legittimo appena compromesso o comunque di un sito non ancora noto come pericoloso.
Questo è il motivo per cui è importante che i link vengano verificati anche al momento del click, con un sistema di sandboxing dei link che, visitando prima dell’utente la pagina, blocchi la visita in caso di pericolo.
Quanti sono i link che vengono intercettati da questa ultima rete di protezione? Ce lo dice il grafico che segue.
Percentuale di clic intercettati da UrlSand
Come vediamo si tratta di numeri piccoli, il picco non arriva allo 0,9%. Se in percentuale il valore sembra piccolo, parliamo comunque di diversi milioni di click ciascuno dei quali avrebbe potuto portare ad una compromissione.
Dove sono localizzati i siti a cui puntano questi link malevoli? La seguente mappa ci indica la distribuzione.
Distribuzione geografica siti di malware
Questa è di fatto la distribuzione dei siti che vengono utilizzati per la distribuzione di malware e phishing indirizzati verso utenti italiani.
Conclusioni
Ad oggi le mail malevole sono divenute praticamente indistinguibili dal punto di vista tecnico dalle mail legittime.
È ampiamente diffuso l’abuso di account di posta legittimi (o di servizi commerciali di invio massivo di messaggi di marketing) per l’invio di malware e phishing. Questo rende le mail malevole tecnicamente identiche a quelle legittime. La differenza la fa il contenuto.
D’altro canto intercettare una mail malevola in base alle sue caratteristiche tecniche è più facile che farlo in base al suo contenuto. Estrapolare concetti come “attrarre l’attenzione”, “spacciarsi per una fonte autorevole”, “fare leva sull’emotività o sull’impulsività” è una sfida tecnica assai più complessa rispetto al basarsi su elementi tecnici ben più definiti. Questo rende l’email security una disciplina che diviene sempre più specialistica e complessa.
Intelligenza artificiale e machine learning sono concetti generici, tutt’altro che nuovi. Sono in uso da decenni in questo settore ma hanno visto una grande evoluzione negli ultimi anni proprio per via di questa tendenza che il settore della email security ha preso: una progressiva riduzione dei “segnali” di ordine tecnico utili a discriminare traffico legittimo da traffico non legittimo e una conseguente crescente rilevanza di “segnali” legati al contenuto.
L’ultima evoluzione riguarda un particolare aspetto del machine learning che è legato alla mappatura delle relazioni tra corrispondenti di posta elettronica. Con l’obiettivo di ricostruire qualcosa di più simile possibile al concetto di “fiducia” che nelle conversazioni mediate va perso.
In una conversazione in presenza il volto, il tono della voce, la gestualità veicolano una mole di informazioni enorme. È principalmente su queste informazioni, oltre che sulla storia della relazione, che inconsciamente stabiliamo il livello di fiducia nell’interlocutore.
Come ricostruire qualcosa di simile al concetto di fiducia in una comunicazione elettronica mediata come quella attraverso la posta elettronica?
Tenendo traccia dello storia e dei pattern di comunicazione tra individui un algoritmo può cercare di stimare l’affinità tra due interlocutori stimando il livello di fiducia. L’analisi dei pattern di comunicazione consente anche di rilevare anomalie e identificare abusi (ad esempio un account takeover) o tentativi di spoofing.
Questa è la prossima frontiera della email security che i vari vendor declineranno, come sempre, ciascuno a modo suo con nomi diversi (“Adaptive Trust Engine” nel caso di Libraesva) e con risultati più o meno efficaci perché non è lo strumento in sé ma il modo in cui lo si utilizza a determinarne l’efficacia.
L’innovativo servizio di Kaspersky adatta l’offerta alla preparazione delle aziende in termini di sicurezza IT
Il nuovo servizio Kaspersky Managed Detection and Response (MDR) garantisce una protezione continua basata sul machine learning, consentendo ai team di sicurezza IT di concentrarsi sull’analisi, sulle indagini e sulla risposta alle minacce. Grazie alle due versioni del prodotto, Kaspersky MDR è ora disponibile non solo per le grandi imprese, ma anche per le aziende di medie dimensioni con diversi livelli di maturità ed esigenze di sicurezza IT. Con il lancio di MDR, Kaspersky rinnova anche il suo approccio basato sui framework di cybersecurity. I diversi framework combinano infatti vari set di soluzioni e servizi di sicurezza per la protezione da diversi tipi di minacce.
Le attività di rilevamento e risposta agli attacchi sofisticati richiedono competenze specifiche, ma i budget destinati alla cybersecurity non sempre prevedono la formazione interna o l’assunzione di tecnici specializzati. La mancanza di risorse può portare a rispondere in ritardo agli incidenti e, di conseguenza, a incrementare le perdite sostenute da un’impresa. Secondo il report di Kaspersky “IT Security Economics 2020”, il costo medio di una violazione dei dati per le imprese di grandi dimensioni aumenta di oltre 400 mila dollari a seconda che una violazione venga scoperta quasi istantaneamente o dopo una settimana.
Kaspersky Managed Detection and Response offre i vantaggi di un security operations center (SOC) in outsourcing senza che i team interni debbano avere competenze specifiche nel threat hunting e nell’analisi degli incidenti, il che può essere particolarmente rilevante per le aziende di medie dimensioni. Il servizio è arricchito da tecnologie di rilevamento e dalla vasta esperienza nel threat hunting e nella incident response di diversi team di esperti, tra cui il Global Research & Analysis Team (GReAT). È anche potenziato da AI Analyst che consente la risoluzione automatica degli alert e permette agli analisti del SOC di Kaspersky di concentrarsi sulla gestione delle segnalazioni più importanti. Questa combinazione di tecnologie e competenze offre ai clienti una protezione contro le minacce che eludono il rilevamento, ad esempio imitando programmi legittimi. Gli esperti di sicurezza IT sono in grado di controllare lo stato di protezione di tutte le risorse e la threat detections in tempo reale, di ricevere istruzioni di risposta pronte all’uso o autorizzare scenari gestiti.
Il servizio integra diversi componenti. I prodotti Kaspersky come, ad esempio, la endpoint protection o EDR, inviano la loro telemetria al Kaspersky Security Network. Questa telemetria viene poi analizzata nel SOC (Security Operations Center) interno di Kaspersky utilizzando più di 700 “hunt” proprietarie basate su TTP costantemente aggiornate e adattate alle esigenze del cliente e ai vari motori di rilevamento. Gli alert vengono raccolti da tutti gli endpoint, consentendo così al sistema di stabilire eventuali collegamenti tra una serie di attacchi a vari dispositivi. Successivamente, il team di threat hunting di Kaspersky convalida e classifica tutti i rilevamenti in ordine di importanza per garantire una risposta tempestiva. Dopo l’indagine, i clienti ricevono l’alert degli incidenti e una guida completa sulle azioni da intraprendere nel portale MDR dedicato. Le opzioni di risposta possono quindi essere avviate tramite un agente di endpoint detection and response (EDR). I clienti possono anche combinare MDR con l’Incident Response retainer di Kaspersky per esternalizzare completamente le indagini forensi sugli incidenti e la loro eliminazione. Il livello Kaspersky MDR Optimum garantisce una protezione as-a-service chiavi in mano, mentre Kaspersky MDR Expert consente di formare e dotare di certificazioni OSCP, GCTI, SANS SEC560, SANS SEC660 gli analisti SOC del vendor, di accedere al Kaspersky Threat Intelligence Portal e a una API (Application Programming Interface) per integrare i security workflow esistenti.
Insieme a questo nuovo prodotto, Kaspersky presenta anche nuovi framework volti a soddisfare le esigenze delle aziende in termini di difesa dalle minacce e in base al livello di maturità della loro sicurezza IT. Kaspersky MDR potenzia ogni framework abilitando una funzione di sicurezza IT consolidata e consentendo ai team di esperti di sicurezza IT di focalizzarsi sulla gestione degli eventi critici evidenziati.
Kaspersky Security Foundations offre una protezione adattiva contro le minacce più diffuse che colpiscono endpoint, dispositivi mobili, infrastrutture cloud e server dei clienti. Questa solida soluzione di base aiuta le organizzazioni a valorizzare gli investimenti in sicurezza grazie alla prevenzione automatica delle minacce. Grazie al Premium Support e al portfolio rinnovato Professional Services, i clienti possono usufruire di assistenza professionale ogni volta che ne hanno bisogno.
Il framework Kaspersky Optimum Security migliora il livello di sicurezza rispetto a minacce nuove, sconosciute e difficili da rilevare, aiutando le piccole e medie imprese che dispongono di risorse di cybersecurity limitate a elaborare piani di incident response. Il framework si avvale di meccanismi di rilevamento avanzati con algoritmi basati sul machine learning e di una sandbox, e offre una maggiore visibilità delle minacce, una capacità di analisi delle cause degli incidenti e una vasta gamma di azioni di risposta. Kaspersky Optimum Security raccomanda inoltre programmi di formazione sulla security awareness per aiutare le organizzazioni a sviluppare una cultura aziendale di cybersicurezza.
Il framework Kaspersky Expert Security rappresenta una strategia olistica per aiutare ad informare e guidare gli esperti interni ad affrontare l’intera gamma delle complesse minacce odierne, come APT e attacchi mirati. Kaspersky Anti Targeted Attack Platform con Kaspersky EDR agisce come una soluzione di Extended Detection and Response (XDR), offrendo una protezione APT all-in-one con capacità di rilevamento delle minacce di rete e EDR. Gli IT security specialist sono dotati di tutte le tecnologie necessarie per gestire il rilevamento multidimensionale delle minacce di qualità superiore sia a livello di endpoint che di rete, intraprendendo indagini efficaci e una threat hunting proattiva e fornendo una risposta rapida e centralizzata attraverso un’unica soluzione. Inoltre, il framework mette a disposizione Kaspersky Threat Intelligence and training per aggiornare il personale addetto alla sicurezza IT, per accrescere la qualità dell’assistenza e il supporto immediato e per permettere di consultare gli esperti di terze parti di Kaspersky attraverso il portafoglio di servizi di cybersecurity.
